Limiti tal-Cloud VPN li ma tistax tirregola: tul ta’ ħajja tal-IKE u NAT tal-peer

Il-Cloud VPN jinnegozja t-tul ta’ ħajja tal-IKE fi ħdan limiti fissi u jeħtieġ NAT wieħed għal wieħed fil-peer. Ippjana d-dispożittiv imbiegħed għal dan, mhux għan-naħa ta’ Google.

Agħti lid-dispożittiv imbiegħed tul ta’ ħajja ta’ fażi 1 ta’ 24 siegħa u l-mina tal-Cloud VPN tibqa’ ’l isfel, anki jekk kollox fuq in-naħa ta’ Google huwa kkonfigurat sew. Il-peer qed jipproponi valur li r-rispons mhux se jaċċetta, għalhekk in-negozjati jew ifallu għal kollox jew jerġgħu jibdew bla tarf. Il-Cloud VPN jillimita l-fażi 1 għal 36,000 sekonda, jiġifieri għaxar sigħat, u dan il-limitu mhuwiex setting li tista’ tgħolli. Il-bidla tappartjeni lid-dispożittiv imbiegħed.

Il-peer jistaqsi, ir-rispons jiddeċiedi

L-IKE huwa eżerċizzju ta’ tqabbil bejn żewġ settijiet ta’ proposti. Il-mina tinħoloq biss fejn is-settijiet jaqsmu ’l xulxin fil-limiti li r-rispons jaċċetta, u għalhekk tul ta’ ħajja barra mill-medda ma jipproduċi ebda mina parzjali. L-iżball tas-soltu huwa li l-konfigurazzjoni tal-peer tiġi trattata bħala lista tax-xewqat u mhux bħala proposta. Intersezzjoni vojta tħalli l-mina ’l isfel, kemm jekk l-irrotar u s-seletturi huma korretti.

Aqra l-istat tal-mina stess qabel ma tiftaħ każ, għax l-istat dettaljat isemmi normalment il-fażi li falliet:

gcloud compute vpn-tunnels describe office-tunnel \
  --region europe-west1 \
  --format="value(status,detailedStatus)"

Qabbel dak li jiġi lura mas-sett appoġġjat għat-tip ta’ gateway u l-verżjoni tal-IKE tiegħek, u rreġistra ż-żewġ seletturi tat-traffiku waqt li tkun hemm. Nuqqas ta’ qbil fis-selettur jagħti l-istess sintomu ta’ mina ’l isfel bħal nuqqas ta’ qbil fl-algoritmu, u għall-kuntrarju tal-algoritmu, dan huwa tiegħek biex tissewwi.

36,000 sekonda huwa l-limitu ta’ fuq

Il-fażi 1 tieqaf f’36,000 sekonda. Dispożittiv impost għal 86,400 qed jitlob xi ħaġa li r-rispons qatt ma jaqbel għaliha, u t-tentattiv mill-ġdid ma jbiddilx fehmtu. Erġa’ dawwar il-proposta mbiegħda fil-medda u l-istess konfigurazzjoni tistabbilixxi; l-asimmetrija hija l-lezzjoni kollha, għax tista’ tniżżel il-valur tiegħek u ma tistax tgħolli dak ta’ Google.

Ikteb il-valur magħżul fin-noti tad-disinn. Inkella l-inġinier li jmiss jerġa’ jagħmel l-esperiment ta’ 24 siegħa u jiltaqa’ mal-istess ħajt.

Is-sett appoġġjat jiġi ppubblikat għal kull tip ta’ gateway u verżjoni tal-IKE fil- ħarsa ġenerali tal-Cloud VPN, mela aqra t-taqsima għat-topoloġija tiegħek minflok gwida ġenerali tal-IKE.

Mina li taqa’ skont skeda

Il-fażi 2 tġib ruħha b’mod differenti: meta ż-żewġ truf ma jaqblux, it-tiġdid tal-ċwievet isegwi l-intervall iqsar. Peer li jqis in-nuqqas ta’ qbil bħala fatali minflok iwaqqa’ l-mina, għalhekk nuqqas ta’ qbil wieħed jista’ jidher bħala żewġ ħsarat mhux relatati. Ħares lejn ir-ritmu tat-tiġdid tal-ċwievet, mhux biss l-ewwel konnessjoni. Mina li titla’ u mbagħad taqa’ b’takta regolari hija aktar spiss nuqqas ta’ qbil fit-tul ta’ ħajja milli difett fl-irrotar.

Korrela dawk it-timbri tal-ħin tal-waqgħa mal-logs tal-peer stess qabel ma tbiddel xi ħaġa, għax bidla fis-selettur jew fir-rotta tista’ timita l-istess ritmu. Jekk it-takta taqbel mat-timer tal-fażi 2, il-kawża nstabet mingħajr ma tmiss proposta.

Is-settijiet ġejjin mit-tip ta’ gateway

Is-settijiet tas-cipher u tal-integrità mhumiex profil għal kull mina li teditja kif jippermetti strongSwan. Int tagħżilhom skont it-tip ta’ gateway u l-verżjoni tal-IKE, u t-tfittxija għal profil li ma jeżistix taħli nofs ta’ jum.

Dispożittiv antik li ma joffri xejn fis-sett appoġġjat iħalli żewġ toroq onesti: ibdel id-dispożittiv, jew temm fuq gateway tas-software li tikkontrolla u rrotta minn hemm fil-VPC. Kull ħaġa oħra hija soluzzjoni temporanja li tfalli fir-reviżjoni li jmiss.

Indirizz estern wieħed għal kull dispożittiv

L-indirizz estern tal-peer irid jiġi mappat wieħed għal wieħed għall-indirizz intern tiegħu. Pool PAT żejjed ma jistax jaħdem, għax diversi hosts wara indirizz pubbliku wieħed ma jagħtux lir-rispons ebda mod kif jifredhom. Fejn diversi hosts iridu jaqsmu indirizz, il-mina trid tintemm f’post li jista’ jiddistingwihom.

Żomm dak l-indirizz estern stabbli wkoll. Mexxi d-dispożittiv wara NAT ieħor u l-assoċjazzjoni tinqata’, għalkemm kull proposta għadha taqbel. Jiswa li tikteb liema valuri huma ta’ Google u liema huma tiegħek: it-tulijiet ta’ ħajja, is-settijiet u n-NAT wieħed għal wieħed huma fissi fuq naħa tagħhom, filwaqt li l-proposti, is-seletturi, l-irrotar u l-prijoritajiet tal-BGP huma tiegħek.

Artikli relatati